Finanzinstitute sind häufige Ziele von Domain-Impersonation und Phishing, da Angreifer das Vertrauen ausnutzen können, das Kunden in Banken, Kreditgenossenschaften, Zahlungsdienstleister und Fintech-Marken setzen.

Eine betrügerische Domain, die einer legitimen Finanzinstitution stark ähnelt, kann verwendet werden, um Zugangsdaten abzugreifen, Zahlungen umzuleiten, Zahlungskarteninformationen zu sammeln, Malware zu verbreiten oder umfassendere Social-Engineering-Kampagnen zu unterstützen.

Für Banken geht die Bedrohung über eine gefälschte Website hinaus. Ein Angreifer kann eine Lookalike-Domain mit Phishing-E-Mails, SMS-Nachrichten, betrügerischen Werbeanzeigen, kompromittierten Konten, gefälschten Kundensupport-Anrufen oder bösartigen Login-Seiten kombinieren. Das Ziel ist oft einfach: Das Opfer soll glauben, dass es mit einer Finanzinstitution interagiert, der es bereits vertraut.

US-Bankenaufsichtsbehörden befassen sich seit Jahren mit diesem Risiko. Die OCC-Richtlinien beschreiben Website-Spoofing als die Erstellung betrügerischer Websites, die legitimen Banking-Websites ähneln, und warnen, dass diese Angriffe sowohl Banken als auch Kunden Datenschutz-, Betrugs-, operationellen, strategischen und Reputationsrisiken aussetzen können.

Dieser Leitfaden erklärt, wie Domain-Spoofing und Lookalike-Domain-Angriffe im Finanzdienstleistungsbereich funktionieren, warum Banken besonders attraktive Ziele sind, wo DMARC und E-Mail-Authentifizierung helfen, wo nicht, und wie Institute eine mehrschichtige Verteidigung gegen Markenimitation aufbauen können.

I. Was ist Domain-Spoofing im Finanzdienstleistungsbereich?

„Domain-Spoofing“ wird oft als Oberbegriff für Angriffe verwendet, bei denen eine bösartige digitale Identität so erscheint, als sei sie mit einer vertrauenswürdigen Organisation verbunden.

In der Praxis sollten Sicherheitsteams zwischen mehreren verschiedenen Techniken unterscheiden.

Direktes Domain-Spoofing

Direktes Domain-Spoofing tritt auf, wenn ein Angreifer versucht, E-Mails zu versenden, die scheinbar von der tatsächlichen Domain einer legitimen Institution stammen, ohne dazu autorisiert zu sein.

Zum Beispiel:

From: [email protected]

obwohl die Nachricht nicht über von examplebank.com autorisierte Infrastruktur gesendet wurde.

SPF, DKIM und DMARC sind für diesen Angriffstyp direkt relevant.

Lookalike-Domain-Impersonation

Ein Lookalike-Domain-Angriff ist anders.

Anstatt die echte Domain zu fälschen, registriert der Angreifer eine andere Domain, die ihr ähnelt.

Zum Beispiel:

example-bank-security.com

oder:

examplebnk.com

Der Angreifer kontrolliert diese Domain und kann dafür gültige DNS-, SPF-, DKIM-, DMARC- und TLS-Zertifikate konfigurieren.

Die E-Mail-Authentifizierung allein kann daher nicht feststellen, dass die Domain betrügerisch ist.

CISA dokumentiert Domain-Akquisition als Angreifertechnik und weist speziell auf die Verwendung internationalisierter Domainnamen hin, um visuell ähnliche Domains für bösartige Aktivitäten zu erstellen.

Typosquatting

Typosquatting beinhaltet die Registrierung von Domains basierend auf vorhersehbaren Tippfehlern, fehlenden Zeichen, vertauschten Buchstaben oder anderen Variationen einer vertrauenswürdigen Domain.

Zum Beispiel:

examplebnk.com
examplebannk.com
examplbank.com

Für Finanzinstitute ist das Risiko besonders bedeutend, da die bösartige Website eine Login-Erfahrung nachbilden und Zugangsdaten, Authentifizierungscodes, Zahlungsinformationen oder andere sensible Daten anfordern kann.

IDN- und Homograph-Angriffe

Internationalisierte Domainnamen erlauben Zeichen außerhalb des grundlegenden ASCII-Zeichensatzes.

Angreifer können versuchen, visuell ähnliche Zeichen aus verschiedenen Alphabeten zu verwenden, sodass ein bösartiger Hostname einer vertrauenswürdigen Marke ähnelt, wenn er einem Benutzer angezeigt wird.

Diese Angriffe werden üblicherweise IDN-Homograph-Angriffe genannt.

Moderne Browser, Registrierungsstellen und Sicherheitsplattformen implementieren Abwehrmaßnahmen gegen viele Formen von IDN-Missbrauch, aber visuell täuschende Domains bleiben für Phishing- und Malware-Kampagnen relevant.

Irreführende Domain-Strukturen

Angreifer können auch Hostnamen erstellen, die Wörter enthalten, die Benutzer mit vertrauenswürdigen Finanzdienstleistungen assoziieren.

Zum Beispiel:

secure.examplebank-login.com

Ein abgelenkter Benutzer könnte sich auf Folgendes konzentrieren:

secure

oder:

examplebank

ohne zu erkennen, dass die tatsächliche registrierbare Domain vom Angreifer kontrolliert wird.

Wörter wie:

secure
login
verify
account
support
banking
authentication

machen eine Domain nicht legitim.

Benutzer und Sicherheitssysteme müssen die tatsächlich registrierte Domain bewerten, nicht nur vertrauenswürdig aussehende Wörter, die darin eingebettet sind.

II. Warum Banken bevorzugte Ziele sind

Finanzinstitute vereinen mehrere Merkmale, die Markenimitation für Angreifer besonders wertvoll machen.

1. Direkter Zugang zu finanziellen Vermögenswerten

Banking-Zugangsdaten können potenziell Zugang bieten zu:

• Kontoständen
• Zahlungsfunktionen
• Gespeicherten Begünstigten
• Kreditfazilitäten
• Zahlungskarteninformationen
• Persönlichen Finanzunterlagen
• Geschäftsbankensystemen

Im Gegensatz zu Daten, die später monetarisiert werden müssen, können kompromittierte Finanzzugangsdaten Angreifern einen relativ direkten Weg zum Betrug bieten.

2. Kunden erwarten Sicherheitsnachrichten

Banken senden Kunden legitim Mitteilungen über:

• Verdächtige Transaktionen
• Neue Geräteanmeldungen
• Betrugswarnungen
• Passwortzurücksetzungen
• Kontoverifizierung
• Zahlungsbestätigung
• Kartenaktivität
• Sicherheitsupdates

Angreifer nutzen dieselben Workflows aus.

Eine Phishing-Nachricht mit dem Inhalt:

„Ungewöhnliche Aktivitäten wurden auf Ihrem Konto festgestellt“

kann genug Dringlichkeit erzeugen, dass ein Kunde mit einer betrügerischen Domain interagiert, bevor er sie sorgfältig überprüft.

Verbraucherschutzbehörden raten Kunden regelmäßig, keine Links oder Kontaktdaten aus verdächtigen Nachrichten zu verwenden und stattdessen ihre Finanzinstitution über unabhängig verifizierte Kanäle zu kontaktieren.

3. Banking hat eine große digitale Angriffsfläche

Moderne Finanzinstitute operieren nicht mehr über eine einzelne Website.

Kunden können interagieren mit:

• Web-Banking
• Mobile Anwendungen
• Zahlungsportalen
• Kartenverwaltungssystemen
• Vermögensverwaltungsplattformen
• Kreditportalen
• Kundensupport-Systemen
• Investitionsplattformen
• Finanzdienstleistungen Dritter
• Authentifizierungsanbietern

Finanzsektor-Leitlinien haben wiederholt hervorgehoben, wie digitales Banking, APIs, mobiler Zugriff, Remote-Dienste und Drittanbieter-Konnektivität die Anzahl potenzieller Angriffsflächen erhöhen.

Je komplexer das legitime digitale Ökosystem wird, desto schwieriger kann es für Kunden werden, legitime Infrastruktur von überzeugenden Imitationen zu unterscheiden.

4. Finanzmarken tragen eingebautes Vertrauen

Angreifer müssen keine neue Beziehung mit dem Opfer aufbauen, wenn sie eine bekannte Bank imitieren.

Die Beziehung existiert bereits.

Ein Kunde erkennt:

• Den Namen der Institution
• Ihr Logo
• Ihre Farben
• Ihre Terminologie
• Gängige Konto-Workflows

Eine geklonte Seite kann diese vertrauten visuellen Hinweise ausnutzen.

Das Ziel ist nicht unbedingt, das Opfer davon zu überzeugen, dass ein unbekanntes Unternehmen vertrauenswürdig ist. Es geht darum, das Vertrauen zu leihen, das die legitime Finanzinstitution bereits aufgebaut hat.

III. Wie Finanz-Domain-Impersonation-Angriffe funktionieren

Ein ausgeklügelter Angriff kann mehrere Phasen umfassen.

Phase 1: Domain-Registrierung

Der Angreifer registriert eine Domain, die der Institution ähnelt.

Zum Beispiel:

examplebank-security.com

Die Domain kann enthalten:

• Tippfehler
• Hinzugefügte Wörter
• Entfernte Zeichen
• Alternative Top-Level-Domains
• Bindestriche
• Phonetische Ähnlichkeit
• Unicode-Zeichen
• Markennamen kombiniert mit Sicherheitsterminologie

Die Domain selbst kann anfangs keinen bösartigen Inhalt enthalten.

Das bedeutet, dass eine frühe Erkennung während oder kurz nach der Registrierung wertvoll sein kann.

Phase 2: Infrastruktur-Einrichtung

Der Angreifer kann die Domain konfigurieren mit:

• DNS-Einträgen
• Web-Hosting
• MX-Einträgen
• TLS-Zertifikaten
• SPF
• DKIM
• DMARC

Dies schafft eine wichtige Sicherheitsunterscheidung:

Eine bösartige Lookalike-Domain kann technisch gut konfiguriert sein.

Ein gültiges TLS-Zertifikat beweist nicht, dass eine Website zur imitierten Institution gehört.

Ebenso:

SPF: bestanden
DKIM: bestanden
DMARC: bestanden

beweist nicht, dass examplebank-security.com eine legitime Banking-Domain ist.

Diese Kontrollen etablieren die Authentifizierung für die verwendete Domain. Sie bestimmen nicht, ob die Domain selbst täuschend ist.

Phase 3: Markenklonierung

Der Angreifer reproduziert Elemente der legitimen Online-Identität der Institution.

Diese könnten umfassen:

• Logo
• Navigation
• Login-Bildschirm
• Schriftarten
• Farben
• Sicherheitssprache
• Kontoverifizierungs-Bildschirme
• MFA-Aufforderungen
• Betrugswarnung-Seiten

Die resultierende Website kann sehr überzeugend erscheinen, besonders auf einem mobilen Bildschirm.

Phase 4: Traffic-Generierung

Angreifer müssen dann Opfer zur bösartigen Infrastruktur führen.

Die Verbreitung kann erfolgen über:

• Phishing-E-Mail
• SMS
• QR-Codes
• Suchmaschinenwerbung
• Soziale Medien
• Bösartige Weiterleitungen
• Kompromittierte Websites
• Messaging-Plattformen
• Gefälschte Kundensupport-Interaktionen

Das sicherste Benutzerverhalten besteht darin, den Zugriff auf Banking-Dienste über unaufgeforderte Links zu vermeiden und stattdessen die offizielle Banking-App, ein verifiziertes Lesezeichen oder eine bekannte legitime Website zu verwenden.

Phase 5: Zugangsdaten- oder Datensammlung

Sobald der Benutzer die betrügerische Seite erreicht, kann der Angreifer anfordern:

Benutzername
Passwort
Kartennummer
PIN
Einmalpasswort
Sicherheitsantwort
Persönliche Informationen

Ausgefeiltere Angriffe können versuchen, den legitimen Login-Prozess in Echtzeit zu proxifizieren, sodass vom Opfer bereitgestellte Informationen sofort gegen den echten Dienst verwendet werden.

Phase 6: Folgebetrug

Gestohlene Daten können dann unterstützen:

• Kontoübernahme
• Unberechtigte Überweisungen
• Kartenbetrug
• Identitätsdiebstahl
• Geschäftsbetrug
• Social Engineering
• Wiederverwendung von Zugangsdaten
• Weiteres Phishing

Die anfängliche Lookalike-Domain kann daher nur die erste Phase in einer umfassenderen Betrugskampagne sein.

Gängige Domain-Impersonation-Techniken gegen Banken

IV. Typosquatting

Angreifer registrieren vorhersehbare Rechtschreibfehler.

Zum Beispiel:

securebank.com

könnte imitiert werden als:

securbank.com
securebnk.com
secure-bank.com

Der Angreifer verlässt sich entweder auf einen Tippfehler oder darauf, dass der Empfänger die Variation innerhalb einer E-Mail, SMS-Nachricht, Werbung oder im Browser nicht bemerkt.

V. Marke + Schlüsselwort-Domains

Ein weiteres gängiges Muster kombiniert eine erkennbare Marke mit sicherheitsbezogener Sprache.

Zum Beispiel:

examplebank-verification.com
examplebank-login.com
examplebank-support.com

Diese Domains können besonders überzeugend sein, weil die zusätzlichen Wörter kontextuell angemessen erscheinen.

VI. Alternative Top-Level-Domains

Angreifer können auch eine erkennbare Zeichenkette unter einer anderen Top-Level-Domain registrieren.

Zum Beispiel:

examplebank.example

anstelle der legitimen Domain der Institution.

Benutzer, die mit dem genauen Domain-Portfolio der Institution nicht vertraut sind, könnten annehmen, dass die Alternative legitim ist.

VII. Homograph- und Unicode-Variationen

Zeichen, die visuell ähnlich aussehen, können täuschende Hostnamen erstellen.

Dies ist besonders relevant, wenn Benutzer URLs schnell oder auf kleineren mobilen Bildschirmen überprüfen.

VIII. Irreführende Subdomains

Ein Angreifer, der kontrolliert:

bank-security.example

kann erstellen:

login.bank-security.example
secure.bank-security.example
accounts.bank-security.example

Das Vorhandensein von login oder secure weist nicht auf Legitimität hin.

Die registrierbare Domain bleibt:

bank-security.example

Die geschäftlichen Auswirkungen von Domain-Impersonation

Der Schaden aus einer erfolgreichen Impersonation-Kampagne kann über das anfangs kompromittierte Konto hinausgehen.

IX. Finanzbetrug

Gestohlene Zugangsdaten können unberechtigte Transaktionen oder andere Formen von Kontomissbrauch ermöglichen.

Finanzielle Verluste können auch umfassen:

• Untersuchung
• Betrugsrückerstattung
• Incident Response
• Kundensupport
• Rechtliche Prüfung
• Takedown-Operationen
• Threat Intelligence
• Zusätzliche Authentifizierungsmaßnahmen

Die genaue finanzielle Verantwortung hängt vom Kontotyp, der Jurisdiktion, den Umständen und den anwendbaren Verbraucherschutzregeln ab.

X. Erosion des Kundenvertrauens

Kunden unterscheiden nicht immer zwischen von der Bank kontrollierter Infrastruktur und Infrastruktur, die die Bank imitiert.

Eine überzeugende gefälschte Website kann daher das Vertrauen in die legitime Institution schädigen, obwohl ihre tatsächlichen Systeme nie kompromittiert wurden.

Markenmissbrauch schafft ein ungewöhnliches Sicherheitsproblem:

Der Angreifer kann Reputationsschaden verursachen, ohne das Netzwerk der Organisation zu kompromittieren.

XI. Operative Störung

Aktive Phishing-Kampagnen können Koordination erfordern zwischen:

• Sicherheitsteams
• Betrugsteams
• Rechtsberatern
• Kundensupport
• Registraren
• Hosting-Anbietern
• Zertifizierungsstellen
• Strafverfolgungsbehörden
• Threat-Intelligence-Anbietern

Diese Reaktionsaktivitäten können erhebliche operative Ressourcen beanspruchen, selbst wenn die interne Infrastruktur der Institution nicht kompromittiert bleibt.

XII. Regulatorische Anforderungen und Nachweispflichten

Nicht jede Phishing-Kampagne führt automatisch zu einem meldepflichtigen regulatorischen Vorfall.

Wenn jedoch ein Impersonation-Angriff zu unbefugtem Zugriff, Offenlegung geschützter Informationen, Betrug oder einem anderen meldepflichtigen Ereignis führt, kann die Institution je nach anwendbarem regulatorischem Rahmen mit Benachrichtigungs-, Untersuchungs-, Dokumentations- oder Beweissicherungspflichten konfrontiert sein.

Finanzinstitute sollten daher nachweisen können, wie sie:

• Bedrohungen erkennen
• Authentifizierungssysteme schützen
• Verdächtige Aktivitäten überwachen
• Benutzer schulen
• Auf Vorfälle reagieren
• Angemessene Aufzeichnungen führen

Was DMARC kann und was nicht

DMARC ist eine wichtige Kontrolle für Finanzinstitute, aber ihr Umfang muss korrekt verstanden werden.

XIII. DMARC hilft, die tatsächliche Domain der Bank zu schützen

Angenommen, die legitime Institution verwendet:

examplebank.com

Ein Angreifer versucht zu senden:

From: [email protected]

über nicht autorisierte Infrastruktur.

Mit korrekt konfigurierter SPF- und/oder DKIM-Alignment und DMARC-Durchsetzung bei:

p=quarantine

oder:

p=reject

können teilnehmende empfangende Systeme die DMARC-Richtlinie der Institution auf nicht authentifizierte Nachrichten anwenden, die behaupten, von der geschützten Domain zu stammen.

DMARC reduziert daher erheblich das direkte Spoofing von Domains, die die Institution tatsächlich kontrolliert.

XIV. DMARC stoppt keine Lookalike-Domains im Besitz des Angreifers

Angenommen, der Angreifer registriert:

examplebank-security.com

Der Angreifer besitzt diese Domain.

Er kann veröffentlichen:

SPF: bestanden
DKIM: bestanden
DMARC: bestanden

dafür.

Ihre DMARC-Richtlinie für:

examplebank.com

kontrolliert nicht:

examplebank-security.com

weil es eine völlig andere Domain ist.

Diese Unterscheidung ist kritisch.

DMARC schützt Ihre authentifizierte Domain-Identität. Es verhindert nicht, dass Kriminelle täuschende Domains registrieren, die sie kontrollieren.

Deshalb benötigen Finanzinstitute sowohl E-Mail-Authentifizierung als auch externe Lookalike-Domain-Überwachung.

Die mehrschichtige Verteidigung der Finanzinstitution

Effektiver Schutz erfordert Kontrollen über mehrere Ebenen hinweg.

XV. 1. DMARC auf legitimen Domains durchsetzen

Finanzinstitute sollten ein vollständiges Inventar legitimer E-Mail-Quellen führen und geeignete Domains in Richtung DMARC-Durchsetzung bei:

p=quarantine

oder:

p=reject

bewegen, nachdem legitime Absender validiert wurden.

DMARC sollte unterstützt werden durch korrekt konfigurierte:

• SPF
• DKIM
• Alignment
• Aggregierte Berichterstattung
• Absenderentdeckung
• Kontinuierliche Überwachung

DMARC-Durchsetzung sollte erst eingeführt werden, nachdem legitime Sendeinfrastruktur identifiziert und validiert wurde.

XVI. 2. Überwachung auf Lookalike-Domains

Authentifizierung schützt Domains, die die Organisation besitzt.

Externe Domain-Überwachung adressiert Domains, die sie nicht besitzt.

Finanzinstitute sollten auf Registrierungen überwachen, die Folgendes beinhalten:

• Rechtschreibfehler
• Markenvariationen
• Phonetische Ähnlichkeit
• Bindestrich-Varianten
• Zusätzliche Sicherheitswörter
• Alternative TLDs
• Unicode-Variationen
• Verdächtige MX-Einträge
• Aktive geklonte Seiten

Skysnag BrandGuard hilft Organisationen, Lookalike-Domains und verdächtige Registrierungen zu überwachen, die mit Phishing, Betrug und Markenimitation verbunden sind.

XVII. 3. Certificate-Transparency-Daten überwachen

Certificate-Transparency-Daten können ein weiteres Signal liefern bei der Untersuchung verdächtiger Infrastruktur.

Sicherheitsteams können überwachen auf Zertifikate, die verbunden sind mit:

• Ihren legitimen Domains
• Verdächtigen Markenvariationen
• Neu entdeckten Lookalike-Domains

Ein gültiges TLS-Zertifikat darf jedoch niemals als Beweis interpretiert werden, dass eine Website zur Institution gehört.

Wenn ein Angreifer legitim kontrolliert:

examplebank-login.com

kann er auch legitim ein TLS-Zertifikat für diese Domain erhalten.

TLS schützt die Verbindung zwischen dem Benutzer und dieser Website.

Es zertifiziert nicht, dass die Website die Bank ist, für die der Benutzer sie hält.

XVIII. 4. DNS- und Web-Filterung nutzen

Finanzinstitute können auch die interne Exposition begrenzen, indem sie den Zugriff auf bekannte bösartige Infrastruktur blockieren.

Kontrollen können umfassen:

• Sicheres DNS
• URL-Filterung
• Domain-Reputation
• Browser-Schutz
• Endpoint-Erkennung
• Web-Isolation
• Threat-Intelligence-Feeds

DNS- und reputationsbasierte Filterung kann die Exposition von Mitarbeitern gegenüber bekannten bösartigen und verdächtigen Domains reduzieren.

XIX. 5. Identitäts- und Authentifizierungskontrollen stärken

Domain-Überwachung kann nicht davon ausgehen, dass jeder Benutzer jeden Angriff erkennen wird.

Institute sollten den Wert gestohlener Zugangsdaten durch Kontrollen wie diese reduzieren:

• Multi-Faktor-Authentifizierung
• Risikobasierte Authentifizierung
• Geräteintelligenz
• Transaktionsüberwachung
• Verhaltensanalyse
• Sitzungskontrollen
• Step-up-Verifizierung

Mehrschichtige Authentifizierung ist besonders wichtig, weil kein Domain-Überwachungssystem garantieren kann, dass jede täuschende Registrierung erkannt wird, bevor ein Benutzer darauf stößt.

XX. 6. Kunden auf Bank-Impersonation-Angriffe vorbereiten

Allgemeine Ratschläge wie „achten Sie auf schlechte Grammatik“ sind zunehmend unzureichend.

Kunden sollten verstehen, dass eine überzeugende Phishing-Seite enthalten kann:

• Korrektes Branding
• HTTPS
• Ein gültiges TLS-Zertifikat
• Professionelle Sprache
• Vertraute Sicherheitsterminologie

Finanzinstitute sollten Kunden ermutigen, auf Dienste zuzugreifen über:

• Die offizielle Banking-Anwendung
• Ein gespeichertes, zuvor verifiziertes Lesezeichen
• Eine bekannte offizielle Website
• Kontaktdaten, die unabhängig von einer verdächtigen Nachricht erhalten wurden

Kunden sollten vorsichtig sein bei Kontozugangs-Links, die empfangen werden über:

• Unaufgeforderte E-Mail
• SMS
• Soziale Medien
• Suchmaschinenwerbung
• Messaging-Anwendungen

7. Einen Domain-Takedown-Prozess etablieren

Erkennung ist nur nützlich, wenn verdächtige Infrastruktur untersucht und darauf reagiert werden kann.

Ein ausgereifter Reaktionsprozess sollte festlegen:

1. Domain-Entdeckung
2. Risikoklassifizierung
3. Beweissammlung
4. Identifizierung des Hosting-Anbieters
5. Registrar-Eskalation
6. Markenzeichen- oder Missbrauchsnachweis
7. Takedown-Anfrage
8. Kundenbenachrichtigung wo angemessen
9. Fortgesetzte Überwachung auf Neuregistrierung

Angreifer können Infrastruktur schnell rotieren, daher sollte das Entfernen einer Domain nicht automatisch den Vorfall schließen.

Verbundene Registrierungen und Infrastruktur sollten ebenfalls untersucht werden.

Warum E-Mail-Authentifizierung und Lookalike-Schutz zusammenarbeiten müssen

Banken behandeln direktes Spoofing und Lookalike-Domain-Impersonation manchmal als dasselbe technische Problem.

Sie sind es nicht.

Betrachten Sie diese zwei Angriffe.

Angriff A

From: [email protected]

Nicht autorisierte Sendeinfrastruktur

Dies ist ein direktes E-Mail-Authentifizierungsproblem.

SPF, DKIM und DMARC sind die relevanten Kontrollen.

Angriff B

From: [email protected]

Angreifer besitzt examplebank-security.com

Der Angreifer kann SPF, DKIM und DMARC korrekt konfigurieren.

Dies ist primär ein Domain-Impersonation-Problem.

Die Kontrollen sind unterschiedlich:

• Lookalike-Domain-Erkennung
• Threat Intelligence
• Web-Analyse
• Domain-Reputation
• Zertifikatsüberwachung
• Takedown-Prozesse
• Benutzerbewusstsein

Ein ausgereiftes Sicherheitsprogramm für Finanzdienstleistungen benötigt beides.

Regulatorische Überlegungen im Finanzsektor

Es gibt keine einzige universelle Verordnung, die besagt:

„Jede Bank muss Lookalike-Domain-Überwachung einsetzen.“

Anforderungen variieren je nach Jurisdiktion und Institutstyp.

Finanzsektor-Sicherheitsrichtlinien unterstützen jedoch konsistent einen mehrschichtigen, risikobasierten Ansatz zu Phishing, Authentifizierung, Überwachung, Betrugsprävention und digitaler Kanalsicherheit.

Relevante Kontrollen können umfassen:

• Mehrschichtige Sicherheit
• Multi-Faktor-Authentifizierung
• Überwachung
• Anti-Phishing-Kontrollen
• DMARC
• Benutzerschulung
• Social-Engineering-Tests
• DNS-Filterung

Separate Leitlinien für Finanzinstitute haben auch die Notwendigkeit angesprochen, die betrügerische Nutzung institutioneller Marken durch Phishing und Spoofing zu überwachen und darauf zu reagieren.

Die Implikation ist nicht, dass DMARC oder Lookalike-Überwachung allein Compliance schafft.

Vielmehr können diese Kontrollen Teil eines umfassenderen, risikobasierten Sicherheitsprogramms sein, das Kunden, Finanzsysteme und institutionelle Identität schützen soll.

Wie Skysnag Protect und BrandGuard verschiedene Teile des Problems adressieren

Der Schutz einer Finanzmarke erfordert die Sicherung sowohl der legitimen E-Mail-Identität der Institution als auch des externen Domain-Ökosystems, das Angreifer missbrauchen könnten.

Skysnag Protect: Schützen Sie die Domains, die Sie besitzen

Skysnag Protect konzentriert sich auf E-Mail-Authentifizierung und Domain-Durchsetzung.

Es hilft Organisationen zu verwalten und zu überwachen:

• DMARC
• SPF
• DKIM
• Absenderentdeckung
• Authentifizierungs-Alignment
• Nicht autorisierte Sendequellen
• DMARC-Durchsetzung

Dies reduziert die Fähigkeit von Angreifern, E-Mails von Domains zu fälschen, die von der Institution kontrolliert werden.

Erfahren Sie mehr: Skysnag Protect

Skysnag BrandGuard: Erkennen Sie Domains, die Sie nicht besitzen

BrandGuard adressiert das externe Impersonation-Problem.

BrandGuard hilft, verdächtige und Lookalike-Domains zu identifizieren, die verbunden sind mit:

• Phishing
• Betrug
• Markenimitation
• Typosquatting
• Bösartigen Domain-Registrierungen

Es ergänzt die E-Mail-Authentifizierung, indem es Infrastruktur adressiert, die außerhalb der eigenen DNS-Umgebung der Institution existiert.

Erfahren Sie mehr: Skysnag BrandGaurd

Checkliste für Domain-Schutz von Finanzinstituten

Bewerten Sie, ob Ihre Organisation Kontrollen für jede Ebene hat:

• DMARC auf allen legitimen Unternehmensdomains eingesetzt
• Legitime Sendeinfrastruktur identifiziert, bevor zur Durchsetzung übergegangen wird
• DMARC bei p=quarantine oder p=reject durchgesetzt, wo operativ angemessen
• SPF und DKIM kontinuierlich überwacht
• Ruhende und defensive Domains inventarisiert
• Lookalike-Domain-Überwachung aktiviert
• Typosquatting-Variationen überwacht
• Unicode- und Homograph-Varianten berücksichtigt
• Verdächtige MX- und DNS-Aktivitäten analysiert
• Certificate-Transparency-Daten wo nützlich einbezogen
• DNS- und Web-Filterung für bekannte bösartige Domains eingesetzt
• Kunden-Phishing-Schulung adressiert Lookalike-Websites
• MFA oder gleichwertige mehrschichtige Authentifizierungskontrollen implementiert
• Registrar- und Hosting-Anbieter-Eskalationsverfahren dokumentiert
• Takedown-Beweise und Eigentumsdokumentation im Voraus vorbereitet
• Domain-Impersonation-Vorfälle in Response-Playbooks einbezogen
• Neu registrierte und zuvor ruhende Lookalike-Domains kontinuierlich neu bewertet

Wichtigste Erkenntnisse

Finanzinstitute sind attraktive Ziele für Domain-Impersonation, weil Angreifer etabliertes Kundenvertrauen ausnutzen und potenziell gestohlene Zugangsdaten in Finanzbetrug umwandeln können.

Aber nicht jede Form von „Domain-Spoofing“ ist gleich.

Direktes Domain-Spoofing missbraucht die tatsächliche Domain einer Institution ohne Autorisierung.

Lookalike-Domain-Impersonation verwendet eine andere vom Angreifer kontrollierte Domain, die der Institution ähneln soll.

Typosquatting nutzt vorhersehbare Domain-Variationen und Tippfehler aus.

IDN- und Homograph-Angriffe verwenden visuell ähnliche Zeichen, um bösartige Domains vertraut erscheinen zu lassen.

Diese Unterscheidung bestimmt, welche Kontrollen wirksam sind.

DMARC, SPF und DKIM können die unbefugte Nutzung von Domains, die die Finanzinstitution tatsächlich kontrolliert, erheblich reduzieren.

Sie können nicht verhindern, dass ein Angreifer eine separate täuschende Domain registriert.

Eine bösartige Lookalike-Domain kann gültiges SPF, DKIM, DMARC, HTTPS und ein legitimes TLS-Zertifikat haben und trotzdem bösartig sein.

Deshalb erfordert effektiver Markenschutz im Finanzsektor mehrere Ebenen:

• Starke E-Mail-Authentifizierung
• DMARC-Durchsetzung
• Lookalike-Domain-Überwachung
• DNS- und URL-Filterung
• Threat Intelligence
• Identitätsschutz
• Kundenschulung
• Schnelle Untersuchung und Takedown

Skysnag Protect hilft Finanzinstituten, die Domains zu sichern, die sie kontrollieren, durch DMARC, SPF, DKIM, Absenderentdeckung und Durchsetzung:

Skysnag BrandGuard erweitert den Schutz über diese Domains hinaus, indem es Lookalike-Infrastruktur erkennt, die für Phishing, Betrug und Markenimitation verwendet wird:

Zusammen adressieren beide verschiedene Seiten desselben Problems: den Schutz der authentifizierten Identität der Institution bei gleichzeitiger Identifizierung von Angreifern, die versuchen, sie anderswo im Internet zu imitieren.